Küçük işletme risk değerlendirmesi

Açılış

Eskişehir'deki meslek odası toplantısının çıkışında Sevgi Hanım, Defne Hanım'ı kenara çekti. Sevgi Hanım da mali müşavirdi; bürosunda kendisiyle birlikte üç kişi çalışıyordu: bir muhasebe uzmanı ve bir stajyer. Geçen ay bir meslektaşının bürosu fidye yazılımına yakalanmış, beyanname döneminin ortasında bir hafta kapalı kalmıştı. Sevgi Hanım o günden beri uyuyamıyordu.

"Senin büroda risk tablosu diye bir şey yapmışsınız," dedi. "Ben nereden başlayacağımı bilmiyorum. Teknisyenim yok, bütçem az, vaktim hiç yok."

Defne Hanım bir cumartesi öğleden sonrasını önerdi. "Bir tablo, bir kalem ve büronun üç kişisi," dedi. "Bizim aylarca parça parça yaptığımızı, sen bir öğleden sonra kaba hâliyle yapabilirsin. Mükemmel olmayacak. Ama ilk kez elinde, neyi neden koruduğunu gösteren bir sayfa olacak."

Cumartesi günü üç kişi masanın etrafına oturdu. Defne Hanım beyaz tahtaya tek bir soru yazdı: "Bu büro hangi bilgiyle yaşıyor?"

Tek fikir

Küçük bir işletmenin ilk risk değerlendirmesi, bir öğleden sonrada, ekiple birlikte ve basit bir ölçekle yapılabilir: bilgi türlerini listele, değerlerini puanla, onlara dokunan teknolojiyi yaz, tehditleri tart, yanıtı seç ve sonucu sahibi ile tarihi olan bir tabloya geçir.

Nasıl çalışır

Bu modülde risk değerlendirmesinin bütün parçalarını tek tek gördük. Bu atölye onları küçük bir işletmenin ölçeğine indiriyor ve sıraya diziyor.

Küçük işletmeler için yazılmış bir NIST rehberi bu sırayı açıkça verir.

Rehberin örnek çalışma sayfasındaki maliyet satırları, bir bilgi türünün değerini tek bir sayıdan daha zengin düşünmeye yardım eder: açığa çıkmanın maliyeti, bilginin doğruluğunu teyit etmenin maliyeti, erişimin kaybının maliyeti, kaybolan işin maliyeti, cezalar ve müşteri bildirimleri, öteki hukuki giderler, itibar maliyeti ve sorunu bulup onarmanın maliyeti.

Atölyenin yeni kavramı, listenin satırlarına ne yazılacağıdır.

Bilgi türü, Modül 12'nin başında gördüğümüz varlık envanterinin küçük işletme için sadeleştirilmiş başlangıç noktasıdır: önce bilgi, sonra o bilgiyi taşıyan cihazlar ve hizmetler.

Rehber, bu çalışmanın tek kişilik bir iş olmadığını da vurgular. Bir bilginin işletmenin her yerinde nasıl kullanıldığını tek bir kişinin bilemeyebileceğini, bu yüzden ekip çalışması gerekeceğini yazar. Ve tablonun bir kez yapılıp bırakılmasına karşı açık bir zaman ölçüsü koyar.

Sevgi Hanım'ın meslektaşının başına gelen fidye yazılımı, tam da bu son tetikleyicidir.

Sahada

Savunma

Atölyenin savunmaya katkısı, sınırlı bütçenin nereye harcanacağını göstermesidir. Küçük bir işletmenin her şeyi koruyacak parası yoktur; risk tablosu, ilk liranın en değerli bilgiye gitmesini sağlar.

Sevgi Hanım'ın tablosu bitince en üstte üç satır kaldı: müşterilerin muhasebe kayıtları, banka ve ödeme bilgileri, ve müşterilerden gelen belge fotoğrafları. Üçünün de en yüksek puanı "yüksek"ti. Bu üç satır, öteki her şeyden önce ele alınacaktı.

Seçilen yanıtlar bu modülün dersleriyle aynı dili konuştu. Muhasebe kayıtları için azaltma: çevrimdışı ve değiştirilemez bir yedek kopya, bir kez geri yüklenerek sınanmış. Banka bilgileri için azaltma: ikinci doğrulama adımı ve ödeme talimatlarının bilinen numaradan telefonla teyidi. Belge fotoğrafları için kaçınma: kişisel telefondaki mesajlaşma grubu kapatıldı, müşterilere büronun kendi belge alma yolu verildi.

Tablonun alt tarafında kalan riskler bilerek kabul edildi ve Sevgi Hanım'ın adıyla yazıldı. Her satırın yanına, takvime de işlenen bir yeniden bakış günü yazıldı.

Tespit açısından en ucuz önlem de bu tablodan çıktı: yedeğin her hafta tamamlanıp tamamlanmadığına bakılması, muhasebe uzmanının görevi oldu. Yedek bir gece sessizce başarısız olursa, büro bunu bir saldırının ortasında değil, aynı hafta içinde görecekti.

Uygulama

Bu atölyede kendi küçük işletmenin, çalıştığın ve yetkili olduğun bir birimin ya da hanenin ilk risk tablosunu, Sevgi Hanım'ın izlediği sırayla, baştan sona kuracaksın. Bir öğleden sonra ayır ve işin içindeki herkesi masaya çağır.

Tablonun sütunları şöyle olabilir:

Tabloyu ilk seferde mükemmel yapmaya çalışma. Bir önceki dersin dipnotunda gördüğümüz gibi, bariz bir açığı kapatmak için tablonun tamamlanmasını beklemek gerekmez; ilk gün fark ettiğin kişisel telefondaki grup, ertesi gün kapatılabilir.

Defter: Risk bölümüne ilk tam risk tablosu: kapsam, kimlerin katıldığı, bilgi türleri listesi ve puanları, envanter sütunu, en üstteki üç satırın yanıtları ve artık riskleri, sahipler, sonraki bakış tarihi ve tabloyu erken açacak tetikleyiciler. Atölye sırasında kapatılan bariz açıklar.

Hata köşesi

Etik ve sınırlar

Risk tablosu kurmak, bir işletmenin bilgilerine ve zayıf noktalarına yakından bakmak demektir; bu yüzden yalnız sahibi olduğun ya da yönetme yetkin bulunan bir kapsam için yapılır. Defne Hanım, Sevgi Hanım'ın bürosundaki tabloya ancak onun davetiyle ve izniyle katıldı; tablonun bir kopyasını yanında götürmedi, çünkü o sayfa artık bir başka büronun en hassas belgelerinden biriydi. Bir mali müşavirlik bürosunun bilgileri büyük ölçüde müşterilere aittir: tabloya müşterilerin adlarını ya da kayıtlarını değil, yalnız bilgi türlerini yazmak gerekir. Atölyede bulunan bir açığı, örneğin bir çalışanın kişisel telefonundaki grubu, o çalışanı suçlamak için değil, büronun eksik bir yolunu kapatmak için kullanmak da bir sorumluluktur; stajyeri dürüst konuştuğu için cezalandıran bir büro, bir sonraki toplantıda hiçbir şey öğrenemez.

Kapanış

1. Küçük bir işletmenin ilk risk değerlendirmesi bir öğleden sonrada yapılabilir: bilgi türlerini listele, üç soruyla puanla, ona dokunan teknolojiyi yaz, tehditleri tart, en üstteki üç satır için yanıt seç.
2. Bu iş ekiple yapılır, çünkü bir bilginin işletmede nasıl dolaştığını tek bir kişi bilemez; ve basit bir ölçekte tek bir "yüksek" puan, bütün bilgi türünü yüksek yapmaya yeter.
3. Sonuç sahibi ve tarihi olan bir tabloya geçer, yılda en az bir kez ve her büyük değişiklikte yeniden açılır; bariz açıkları kapatmak için tablonun tamamlanması beklenmez.

Üç soru

1. Sevgi Hanım'ın bürosunda belge fotoğrafları grubu nasıl ortaya çıktı ve bu, rehberin hangi uyarısını gösterdi?
2. Kaan'ın denemesinde puanları toplamak yerine en yüksek değeri almak neyi değiştirdi?
3. Bora neden kayıt defterindeki gözden geçirme tarihini beklemedi?

Yanıtlar

1. Bilgi türleri listelenirken stajyer, müşterilerin belge fotoğraflarını kendi kişisel telefonundaki bir mesajlaşma grubuna gönderdiğini söyledi; Sevgi Hanım da muhasebe uzmanı da bunu bilmiyordu. Bu, bir bilginin işletmede nasıl kullanıldığını tek bir kişinin bilemeyeceği ve çalışmanın ekiple yapılması gerektiği uyarısını gösterdi.
2. Toplama, çok sütunu dolu olan bilgi türlerini öne çıkarıyor, tek ama ağır bir zararı olanları aşağıda bırakıyordu. En yüksek değeri almak, yalnız tek bir "yüksek" puanı olan banka bilgilerini listenin en üstüne taşıdı.
3. Hastanede yeni bir randevu sistemine geçilecekti ve rehber, yeni bir bilgi teknolojisi sistemi satın alınmadan önce planın gözden geçirilmesini önerir. Büyük bir değişiklik, takvimdeki tarihten önce gelen bir tetikleyicidir; Bora bu yüzden ilgili satırları sistem alınmadan önce yeniden açtı.

Sonraki derse köprü

Sevgi Hanım'ın tablosu bir işletmenin bütününe yukarıdan bakıyordu: hangi bilgi, hangi tehdit, hangi yanıt. Tehdit modelleme dersi aynı soruyu tek bir sisteme, içeriden soruyor: ne kuruyoruz, ne ters gidebilir, buna karşı ne yapacağız ve işi iyi yapıp yapmadığımızı nasıl anlayacağız.